Auditbewijs: uit de praktijk in plaats van uit een spreadsheet

Welk bewijs auditors verwachten

• Een actuele inventaris van bedrijfsmiddelen met eigenaren (ISO/IEC 27001 bijlage A 5.9)
• Een geregelde omgang met technische kwetsbaarheden, inclusief termijnen (A 8.8)
• Detectie, afhandeling en melding van incidenten
• Bewijs dat maatregelen effectief zijn (evaluatie van de prestaties, hoofdstuk 9)

Bewijs ontstaat doorlopend

Elke detectie, beoordeling, taak en hercontrole wordt in XMfortress met tijdstip vastgelegd. Daaruit ontstaan rapporten met historie: hoe heeft het aanvalsoppervlak zich ontwikkeld, hoeveel kritieke kwetsbaarheden stonden hoe lang open, welke validaties zijn uitgevoerd en met welk resultaat?

Managementrapportage in begrijpelijke taal

Onder NIS2 moet het bestuur maatregelen goedkeuren en toezicht houden op de uitvoering. Daarvoor zijn geen logregels nodig, maar een situatiebeeld: exposure-score, trend, openstaande kritieke risico's en het halen van termijnen – begrijpelijk en vergelijkbaar door de tijd heen.

Voor meerdere kaders tegelijk

Dezelfde gegevens onderbouwen eisen uit ISO/IEC 27001, NIS2 en DORA. In plaats van drie afzonderlijke bewijsprojecten volstaat één gegevensbasis.